La cybermenace accélère, la formation doit suivre

Face à des attaques dopées à l’IA, les cycles annuels de formation et les campagnes périodiques de sensibilisation ne tiennent plus la cadence. Les départements formation doivent pouvoir transformer rapidement chaque menace émergente en apprentissage, en entraînement et en réflexes opérationnels. Ce changement de rythme bouscule leurs modes de production, leur relation avec les métiers et jusqu’à la construction du budget formation.

Le rapport que le Cigref vient de consacrer aux mutations de la menace cyber décrit un changement d’échelle. L’intelligence artificielle permet d’automatiser la reconnaissance des cibles, la création de codes malveillants et la personnalisation des opérations d’ingénierie sociale. Elle accélère l’enchaînement des différentes phases d’une attaque tout en augmentant fortement leur volume. Le temps de réaction accordé aux entreprises se réduit en conséquence. Le délai entre la découverte d’une vulnérabilité et son exploitation, le Time to Exploit, est même devenu négatif : selon les données citées par le Cigref, l’exploitation intervient en moyenne sept jours avant la publication d’un correctif. La cybermenace passe ainsi à la « vitesse machine », quand les organisations restent tributaires de procédures et de capacités de traitement humaines. Ce décalage ne concerne pas uniquement les équipes de sécurité. Il met aussi en difficulté un modèle de formation encore largement construit sur des cycles annuels : recueil des besoins, arbitrages budgétaires, appels d’offres, conception, validation, déploiement, puis évaluation. Un module de sensibilisation décidé à l’automne pour être diffusé au printemps suivant risque de répondre à une menace déjà transformée. La formation ne saurait plus être ce long fleuve tranquille, arc-bouté sur la répétition de ses échéances habituelles.

Il ne s’agit pas de multiplier les modules cyber ou de solliciter en permanence tous les collaborateurs. L’enjeu consiste à raccourcir le délai entre l’identification d’un risque, sa traduction en comportements attendus et l’acquisition des réflexes correspondants par les populations exposées. Cette exigence impose une production pédagogique plus légère, plus modulaire et plus facilement actualisable. Une alerte remontée par le RSSI ou le centre opérationnel de sécurité doit pouvoir donner lieu, en quelques jours, à une ressource ciblée, une mise en situation ou un exercice collectif. La veille cyber et la veille pédagogique doivent être reliées par un circuit court, avec des responsabilités clairement attribuées. La segmentation des publics prend également une autre importance. Les développeurs, les administrateurs, les acheteurs de solutions numériques, les métiers manipulant des données sensibles, les dirigeants ou les communicants de crise ne sont ni exposés aux mêmes risques ni appelés à prendre les mêmes décisions. Leur proposer une sensibilisation identique satisfait éventuellement une obligation de conformité, mais prépare mal l’organisation à affronter une attaque. Le rapport du Cigref insiste notamment sur la saturation des capacités humaines, la fragilisation de la confiance et le risque de paralysie stratégique. Ces mutations appellent des réponses pédagogiques distinctes : entraînement technique pour les uns, arbitrage sous pression pour les autres, continuité d’activité ou communication de crise pour d’autres encore.

L’accélération attendue ne se résume pas à produire plus vite des contenus plus courts. Elle déplace une partie de l’effort de la transmission vers l’entraînement. Connaître les règles à respecter ne garantit guère leur application lorsque l’information manque, que les systèmes deviennent indisponibles ou que les attaquants cherchent précisément à désorganiser la décision. Les simulations, exercices de crise, tests de réactions et retours d’expérience permettent de rapprocher l’apprentissage des conditions réelles de l’action. Cette évolution élargit le cercle des clients internes de la fonction formation. Le commanditaire n’est plus uniquement la conformité, préoccupée par le taux de complétion d’une campagne annuelle. Le RSSI, la DSI, les équipes de réponse à incident, les achats, le juridique, les métiers, la communication et la direction générale doivent participer à la définition des capacités attendues. Le département formation peut alors occuper une position d’architecte de la préparation collective : il aide à identifier les populations critiques, organise la combinaison des ressources et des entraînements, puis mesure la capacité de chacun à réagir. Les indicateurs évoluent avec cette ambition. Le nombre de modules suivis compte moins que le temps nécessaire pour détecter une anomalie, transmettre une alerte, prendre une décision ou maintenir une activité en mode dégradé.

Ce changement de rythme rend plus délicat l’exercice de construction du budget formation. Comment prévoir en septembre les menaces qui apparaîtront au printemps, les populations qu’il faudra mobiliser ou les scénarios qui devront être simulés ? Une programmation intégralement figée par thèmes, publics et volumes offre une rassurante visibilité financière, mais prive la fonction formation de la marge nécessaire pour répondre à l’imprévu. Le budget doit donc financer des capacités autant que des actions prédéterminées : une réserve mobilisable rapidement, des outils de production agile, des contenus conçus pour être modifiés, des contrats permettant des interventions à la demande et des équipes disponibles pour scénariser un nouvel exercice. Cette souplesse ne dispense ni d’arbitrer ni de rendre compte. Elle invite à distinguer un socle prévisible — conformité, fondamentaux, exercices récurrents — et une enveloppe d’adaptation pilotée en fonction de la menace et des besoins opérationnels. Le dialogue budgétaire change alors de nature. Il ne porte plus uniquement sur un catalogue de formations à délivrer, mais sur le niveau de préparation que l’entreprise veut maintenir tout au long de l’année.

Pour les prestataires, les offres génériques de sensibilisation risquent de perdre rapidement de leur valeur, d’autant que l’IA facilite déjà la production de contenus standardisés. Les entreprises attendront davantage de leurs partenaires : une veille fiable, une actualisation rapide, des scénarios adaptés à leur secteur et à leur système d’information, une capacité à entraîner des collectifs pluridisciplinaires et des garanties strictes sur la confidentialité des données utilisées. Les modalités contractuelles devront suivre. Une commande ponctuelle, conclue plusieurs mois avant sa réalisation, répond mal à une menace en recomposition permanente. Des accords-cadres, des abonnements de veille et de mise à jour, des bibliothèques modulaires ou des crédits d’intervention mobilisables à bref délai peuvent mieux soutenir cette nouvelle cadence. Le rapport du Cigref rappelle toutefois une frontière essentielle : la formation ne corrigera ni les vulnérabilités techniques ni les dépendances technologiques. Elle peut, en revanche, empêcher que la lenteur des apprentissages ajoute une vulnérabilité humaine et organisationnelle à celles que l’entreprise doit déjà combattre.